Seguridad y procesamiento local

Cómo se hace cumplir la afirmación de procesamiento local, en lugar de limitarse a declararla, y cómo informar de una vulnerabilidad.

BORRADOR — NO REVISADO POR UN ABOGADO. Este documento se preparó como punto de partida para el propietario del sitio. No constituye asesoramiento jurídico, no ha sido revisado por un profesional cualificado y puede no cumplir los requisitos de una jurisdicción concreta. No se base en él tal como está.

Estado de este documento

ToolAcre está disponible públicamente en https://toolacre.com/. Es un sitio estático servido mediante Cloudflare Pages; no hay ningún servidor de aplicaciones de ToolAcre en la ruta de la solicitud de la página.

Por qué se puede comprobar "procesado localmente"

Cualquier sitio puede afirmar que no carga sus archivos. La pregunta útil es si puedes verificarlo, y aquí puedes: abrir las herramientas de desarrollo de tu navegador, cambiar al panel de red y usar una herramienta.

Antes de cualquier elección, verá solicitudes en estado denegado para Google Analytics 4 y un contenedor vacío de Google Tag Manager. Las solicitudes de medición de análisis de API de ToolAcre pueden aparecer solo después de que usted permita los análisis. Lo que el código de la herramienta ToolAcre nunca debe enviar, bajo ninguna configuración de consentimiento, es una solicitud que contenga su archivo, texto pegado o resultado generado. El guardia de red automatizado verifica esa propiedad en toda la aplicación; no hace promesas en nombre de Google sobre los aspectos internos de los scripts de Google.

Cómo se aplica en el código base

Las pruebas automatizadas del proyecto incluyen una protección de red que falla si una herramienta intenta realizar una solicitud que no debería realizar.
Los creadores de datos estructurados se niegan a emitir calificaciones, reseñas, precios o recuentos de uso, por lo que no se puede introducir ninguna señal de confianza inventada por accidente.
Se ejecuta un escaneo de marcador de posición en CI y bloquea cualquier confirmación que contenga un identificador de publicidad o análisis real, una clave privada o un enlace de perfil personal.
Las dependencias están restringidas a licencias permisivas y las adiciones se revisan en lugar de asumirse.

Las advertencias honestas

Direct Media Downloader realiza solicitudes de red por diseño; esa es su función y anuncia cada solicitud.
El procesamiento local significa que el código de la herramienta de ToolAcre no carga el archivo o el texto que usted proporciona. Las páginas habilitadas para análisis aún obtienen los scripts de Google descritos en la Política de privacidad. El procesamiento local no lo protege contra malware, una extensión comprometida, otro script al que haya dado su consentimiento o alguien con acceso a su pantalla.
Eliminar metadatos de imágenes no es anonimato. La herramienta de privacidad de metadatos de imágenes lo dice en sus propias páginas.
Estas son utilidades del navegador, no productos de seguridad auditados. Ninguno se ha sometido a una auditoría de seguridad de terceros y este documento no afirma lo contrario.

Informar una vulnerabilidad

Los problemas del lado del cliente están dentro del alcance y son bienvenidos: secuencias de comandos entre sitios, contaminación de prototipos, vulnerabilidades de dependencia y, sobre todo, cualquier caso en el que los datos abandonen el navegador cuando una página afirma que no es así.

Las herramientas públicas son recursos estáticos de Cloudflare Pages, sin una API de aplicación de ToolAcre ni una base de datos de cuentas en la ruta de sus solicitudes. El Worker perimetral independiente gestiona las redirecciones y las comprobaciones de estado; se aceptan informes sobre cualquiera de las dos superficies.

Un archivo de contacto legible por máquina se publica en /.well-known/security.txt.

Se entrega el correo enviado a contact@toolacre.com. Se reenvía a un buzón monitoreado en lugar de responderse desde una dirección en este dominio, por lo que llegará una respuesta desde otro lugar.

Sin recompensa por errores

No existe un programa de recompensas ni un presupuesto de recompensas. Decirlo claramente es más justo que dejar que un investigador lo descubra después de realizar el trabajo.